Tangem Mobile Wallet : audit de sécurité indépendant réussi par Cure53
Cet article est disponible dans les langues suivantes :
Nous sommes fiers de partager les résultats de l’audit de sécurité indépendant du Tangem Mobile Wallet. Cet audit a été réalisé par Cure53, un cabinet berlinois reconnu pour la rigueur de ses analyses dans l’industrie de la sécurité logicielle.
Il s’agit du dernier d’une série d’audits indépendants commandés par Tangem au fil des années, après les revues de firmware menées par Kudelski Security en 2018 et Riscure en 2023. Chaque audit examine un aspect différent de la sécurité Tangem. Celui-ci s’est concentré sur le nouveau Tangem Mobile Wallet.
Ce qui a été testé
Cure53 a examiné le code source et la sécurité des SDK Android et iOS de Tangem. Un SDK (Software Development Kit) est la base logicielle qui permet à l’application Tangem de fonctionner sur votre téléphone. Il gère la communication avec votre carte wallet, la gestion de vos clés et l’exécution des opérations cryptographiques.
L’audit a porté sur quatre volets :
- Tests de sécurité du SDK Android
- Tests de sécurité du SDK iOS
- Analyse cryptographique du SDK Android
- Analyse cryptographique du SDK iOS
Six chercheurs seniors en sécurité de Cure53 ont travaillé sur le projet pendant 23 jours. Tangem a fourni un accès complet au code source, aux versions de l’application et à la documentation technique. Ce type d’audit est dit « white-box » : les auditeurs ont pu tout examiner, et pas seulement ce qui est visible de l’extérieur.
Ce que l’audit a révélé
Cure53 a confirmé que le SDK Tangem Mobile répond aux exigences de sécurité d’une application prête pour la production. En d’autres termes, l’application est sûre à utiliser.
Cure53 a également noté que les versions Android et iOS présentent un niveau de sécurité homogène. Les deux applications ont été développées avec une attention particulière aux fonctionnalités de sécurité natives de chaque plateforme. Cette cohérence est essentielle : la sécurité n’a pas été traitée différemment selon le type de téléphone utilisé.
Les auditeurs ont formulé une recommandation clé : continuer à réaliser des audits réguliers. À mesure que l’application évolue et que le SDK s’enrichit de nouvelles fonctionnalités, des revues périodiques seront nécessaires pour garantir qu’aucun nouveau risque n’est introduit. Nous prenons ce conseil très au sérieux.
Qui est Cure53 ?
Cure53 est un cabinet indépendant de sécurité informatique basé à Berlin. Spécialisé dans les tests d’intrusion, l’audit de code source et l’analyse cryptographique, il compte parmi ses clients des logiciels parmi les plus sensibles au monde : navigateurs, gestionnaires de mots de passe, clients VPN et outils cryptographiques utilisés par des millions de personnes. Leurs rapports d’audit sont publics et leur réputation repose sur leur crédibilité technique, non sur le marketing.
Pourquoi auditer le Mobile Wallet est essentiel
La plupart des utilisateurs pensent à la sécurité du wallet Tangem en se concentrant sur l’appareil physique. Mais l’application mobile est tout aussi importante : c’est l’interface que vous utilisez au quotidien, aussi bien pour le wallet mobile que matériel, c’est-à-dire là où votre carte ou votre anneau communique avec l’application.
C’est pourquoi l’audit du SDK mobile est indispensable pour un wallet qui place la sécurité au centre de ses priorités. Un contrôle indépendant par un cabinet comme Cure53 apporte ce qu’un test interne ne peut offrir : un avis objectif, extérieur, sans conflit d’intérêt.
Et la suite ?
Le firmware du hardware wallet Tangem a déjà fait l’objet de deux audits indépendants. Le wallet mobile est désormais également audité. À mesure que l’écosystème Tangem se développe, nous continuerons à commander des audits de sécurité indépendants et à publier leurs résultats.
Le rapport de synthèse complet de Cure53 est disponible publiquement ici.
